AI sigurnost: Od buke do poplave kvalitete

Daniel Stenberg, čovjek iza cURL-a, ne govori više o AI-u kao o izvoru beskorisnog šuma. Umjesto toga, opisuje ga kao generator „poplave dobrih sigurnosnih izvještaja“ – toliko preciznih da mu otima sate dnevno.

To nije samo promjena tonusa, već signal da su AI alati za sigurnost krenuli od faze „slop tsunami“ (kako je to nazvao 2023. godine) prema nečemu korisnijem. Razlika je u kvaliteti: ranije su AI modeli bacali lažne pozitive, neprovjerene pretpostavke i generičke upozorenja koja su razvijači morali filtrirati ručno.

Sada, prema Stenbergovim riječima, dolazi do „mnogo izvještaja, puno njih stvarno dobrih“. To znači manje vremena provedeno na odvajanje pšenice od kukolja, a više na stvarno rješavanje problema.

Ali i novu vrstu pritiska: koji open-source projekti mogu pratiti ovaj tempo? Ovo nije samo priča o cURL-u. Axiosov napad na lanac opskrbe početkom travnja i rasprave o etički treniranim modelima (poput onog inspiriranog viktorijanskim principima) pokazuju da se cijelo ekosustav mijenja. Pitanje je: tko od toga ima korist – razvijači, korporacije ili sama AI industrija?

Da je ovo samo marketing priča, čuli bismo o „revolucionarnim“ alatima koji „mijenjaju igru“. Umjesto toga, imamo Stenbergov tweak (preko Simon Willisona) koji zvuči kao ispovijest umornog maintainera: „Intenzivno je“. To je realnost koju PR tekstovi rijetko spominju: AI ne smanjuje posao, već ga mijenja.

Manje je beskorisnog šuma, ali je zamjena ručnog rada automatiziranim – ali još uvijek zahtjevnim – procesom. Dio zajednice već reagira. Na GitHubu i Hacker News-u se pojavljuju komentari o tome kako se prioriteti sigurnosnih timova pomiču s trijaža na dubinsku analizu.

Ali postoji i oprez: ako AI alati postanu previše „pametni“, hoće li razvijači izgubiti kontrolu nad interpretacijom nalaza? Stenberg ne spominje imena alata (npr. GitHub Advanced Security, CodeQL, ili Snyk), ali je jasno da se radi o sustavnoj promjeni, a ne o pojedinačnom proizvodu. Najveće pitanje ostaje skalabilnost.

Ako i manji projekti budu primali stotine kvalitetnih izvještaja tjedno, tko će ih financirati? Open-source sigurnost je već podfinancirana – a sad dobiva više posla, ne više resursa. To možda zvuči kao tehnički detalj, ali je zapravo pitanje opstanka ekosustava.

Kao rezultat, razvijači moraju prilagoditi svoje strategije kako bi iskoristili prednosti AI-a bez gubitka kontrole. To će zahtijevati nove modele suradnje između ljudi i mašina. Na kraju, uspjeh ovisi o tome kako će se razviti ova nova suradnja.